Règlement (UE) 2016/679, article 37.6

DPO externalisé en France : intervention à distance et sur site

Le mandat de délégué à la protection des données ne suppose pas de présence permanente dans les locaux de l'organisme qui le confie. Le règlement (UE) 2016/679 impose que le délégué soit joignable, associé en temps utile et doté de moyens ; il n'impose ni proximité géographique, ni bureau sur place. Cette page dit ce qui se conduit à distance, ce qui appelle un déplacement, et pourquoi Sila ne publie pas de page par ville.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Ce que le règlement exige, et ce qu'il n'exige pas

L'article 37.7 impose la publication des coordonnées du délégué et leur communication à l'autorité de contrôle. L'article 38.1 impose que le responsable du traitement veille à ce qu'il soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données. L'article 38.2 impose de lui fournir les ressources nécessaires à l'exercice de ses missions et à l'accès aux données. L'article 38.4 impose que les personnes concernées puissent le contacter.

Aucune de ces exigences n'est une exigence de localisation. Ce que le texte protège, c'est l'effectivité de l'accès au délégué et son association aux décisions ; un délégué installé dans les locaux mais prévenu après la mise en service d'un traitement est en écart, quand un délégué à distance associé aux arbitrages ne l'est pas.

Ce qui se conduit à distance

La plus grande partie du mandat est documentaire et contractuelle, et ne gagne rien à être exécutée sur place : tenue et mise à jour du registre, revue des contrats de sous-traitance, rédaction des mentions d'information, conduite des analyses d'impact, instruction des demandes de droits, réponse aux questionnaires de conformité adressés par les clients, et échanges avec l'autorité de contrôle.

Il en va de même du rôle de point de contact : l'article 38.4 vise la possibilité de contacter le délégué, et une adresse électronique publiée assortie d'un délai de réponse tenu y satisfait mieux qu'une présence physique intermittente.

Ce qui suppose un déplacement

Trois situations justifient une venue sur site, et elles sont les seules pour lesquelles Sila prévoit un déplacement dans le cadre d'un mandat.

Les entretiens de cartographie initiale

Le recensement des traitements se fait auprès des personnes qui les mettent en œuvre, et une partie de ce qui doit être recensé n'est écrit nulle part. Un entretien sur place fait apparaître des traitements qu'aucun questionnaire ne révèle.

La vérification des dispositifs physiques

Le champ réel d'une caméra, l'affichage effectif de l'information à l'entrée d'une zone, la position d'un écran de travail exposé au public, l'accès aux locaux d'archives : ces points se constatent, ils ne se déclarent pas.

Les actions de formation et la préparation d'un contrôle

La sensibilisation d'équipes opérationnelles et l'accompagnement lors d'un contrôle sur place de l'autorité se conduisent en présence.

Pourquoi cette page n'a pas de déclinaison par ville

Sila est établie à Paris et n'a pas d'établissement secondaire. Une page annonçant une présence à Lyon, Nantes ou Rouen énoncerait une implantation qui n'existe pas. Le cabinet ne dispose par ailleurs d'aucun élément vérifiable propre à ces villes qui ferait la différence pour un lecteur : la CNIL est l'autorité de contrôle compétente sur l'ensemble du territoire, et le régime applicable à une entreprise ne change pas selon son département.

Une page par ville dont seul le nom de la ville changerait serait donc, littéralement, une page sans contenu propre. Elle n'apporterait rien à un lecteur et l'exposerait à une information inexacte sur l'implantation du cabinet. Les organismes situés hors d'Île-de-France sont accompagnés dans les mêmes conditions que les autres, avec les déplacements décrits ci-dessus.

Le même raisonnement vaut hors de France. Sila intervient auprès d'organismes établis en Belgique, au Luxembourg et en Suisse, ainsi qu'auprès d'entreprises établies dans des pays tiers qui relèvent du règlement par l'article 3.2 — notamment au Maroc, aux Émirats arabes unis et aux États-Unis. Dans ces derniers cas, l'autorité de contrôle compétente et la nécessité d'un représentant au titre de l'article 27 sont les premiers points à établir.

Questions fréquentes

Le DPO doit-il être physiquement présent dans l'entreprise ?

Le règlement (UE) 2016/679 ne l'impose pas. L'article 37.6 admet expressément que le délégué exerce sur la base d'un contrat de service, et les articles 38.1, 38.2 et 38.4 portent sur l'association en temps utile, les ressources et l'accessibilité, non sur la localisation. Un délégué joignable et associé aux arbitrages satisfait ces exigences.

Sila intervient-elle en dehors de l'Île-de-France ?

Oui, dans les mêmes conditions que pour un organisme francilien. La part documentaire et contractuelle du mandat est conduite à distance ; les entretiens de cartographie initiale, les vérifications de dispositifs physiques et les actions de formation donnent lieu à déplacement, dont les modalités sont arrêtées dans la lettre de mission.

Une entreprise étrangère peut-elle désigner un DPO établi en France ?

Rien ne s'y oppose : le règlement n'impose aucune condition de localisation au délégué. Il faut en revanche distinguer cette désignation de celle du représentant dans l'Union prévue à l'article 27, qui est une obligation distincte, pèse sur les responsables établis hors de l'Union relevant de l'article 3.2, et ne se confond pas avec le mandat de délégué.

Quelle autorité de contrôle est compétente ?

Pour un organisme établi en France, c'est la CNIL, compétente sur l'ensemble du territoire national. Pour un groupe disposant d'établissements dans plusieurs États membres, le chapitre VII du règlement organise un mécanisme d'autorité chef de file, déterminée en fonction du lieu de l'établissement principal, dont l'identification est l'un des premiers travaux du mandat.

Ce que ce régime déclenche ailleurs

La page pilier détaille les missions de l'article 39 couvertes par l'abonnement et les garanties d'indépendance de l'article 38.

Le contenu du mandat de délégué

Les déplacements décrits ici font partie du périmètre arrêté au cadrage : ils figurent dans le devis plutôt que d'être facturés au fil de l'eau.

Demander un devis

Données de l'article 9, exception de soin du point h, hébergement certifié HDS et secret médical : ce qu'un mandat de délégué couvre dans un établissement ou un cabinet de santé.

Santé

Ordonnances, dossier pharmaceutique, fidélité et vidéoprotection : séparer, dans une officine, ce qui relève du soin et ce qui relève de la relation commerciale.

Pharmacie

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.